Check Point пусна спешна корекция за сигурност за CVE-2026-91843 – критично препълване на стековия буфер (stack-based buffer overflow), което може да позволи на неавтентикиран отдалечен атакуващ да изпълни произволен код с root привилегии върху засегнати системи за управление на сигурността и за логване.

Уязвимостта има CVSS 3.1 оценка от 9.8, което отразява възможност за атака по мрежата с ниска сложност, без да са необходими привилегии и без съдействие от страна на потребителя.

Уязвимостта се появява по време на вход в системата, където прекомерно дълго потребителско име, контролирано от атакуващия, може да предизвика препълване на стека преди завършването на автентификацията.

Успешното експлоатиране би могло да даде на злонамерения субект най-високото ниво на контрол върху операционната система, като потенциално разкрие данни за управлението, политики за сигурност, информация за администратори и събрани логове, същевременно позволявайки по-нататъшно компрометиране на защитената среда.

Уязвимост в Check Point осигурява root достъп

Check Point не е описал публично веригата от уязвимости (exploit chain) и не е съобщил за забелязани атаки в реална среда. Засегнатите продукти включват Security Management Server, Multi-Domain Security Management Server, Log Server и Multi-Domain Log Server.

Засегнатите версии включват R82.20; R82.10 с Jumbo Hotfix Take 44 или по-ранна; R82 с Take 126 или по-ранна; R81.20 с Take 166 или по-ранна; както и излезлата от поддръжка версия R81.10 с Take 190 или по-ранна. Версиите от R80 до R80.40 и R81, които също са извън поддръжка, остават засегнати.

Според официалното предупреждение, публикувано от Check Point, Smart-1 Cloud не е уязвим, тъй като корекцията вече е внедрена в тази среда.

Екипите по защита трябва незабавно да прегледат записите за вход на администратори в SmartConsole Audit за съобщението „Administrator failed to log in: Username too long“.

Този запис може да показва опит за подаване на преоразмерен входен ресурс, свързан с уязвимостта, въпреки че екипите трябва да разследват съпътстващата активност, преди да го приемат като доказателство за успешно компрометиране на root ниво.

Запазете съответните изходящи IP адреси, времеви печати, събития за вход на администратори, промени в конфигурацията и необичайни процеси в сървъра за управление с цел анализ при реагиране на инциденти.

Check Point предостави корекцията чрез Check Point LivePatch. Клиентите с конфигурирани автоматични актуализации за сигурност съгласно sk175504 следва да получат защита автоматично, но администраторите трябва да потвърдят внедряването, вместо да предполагат, че са защитени.

Офлайн пакети са налични като спешно обновяване за сигурност Take 29 за R82.20 и Take 28 за R82.10, R82 и R81.20. LivePatch трябва да бъде инсталиран на всеки засегнат Security Management, Multi-Domain Security Management и Log Server.

Администраторите могат да потвърдят защитата, като влязат в режим Expert и изпълнят cplp list на всеки сървър за управление или логване. Защитената система трябва да показва fwm:fwm корекцията за сигурност със статус „armed“, режим „livepatch“ и CVE-2026-91843 в полето за коментар.

Докато отстраняването на уязвимостта не бъде потвърдено, организациите трябва да ограничат SmartConsole Trusted Clients до одобрени IP адреси или подмрежи чрез Manage & Settings, Permissions & Administrators и Trusted Clients.

Check Point изрично предупреждава да не се избира „Any“ като тип клиент. Тъй като компрометирането би осигурило root достъп без необходимост от идентификационни данни, изложените интерфейси за управление и неподдържаните версии изискват незабавни действия, като миграцията към поддържана версия трябва да се третира като приоритет, а не като заместител на прилагането на наличните корекции за сигурност.